🇰🇷 한글 설명
phpBB 2.0.3 이전 버전의 privmsg.php 파일에서 mark[] 매개변수에 대한 입력 검증이 불충분하여 SQL injection 취약점이 존재합니다. 원격 공격자가 악의적인 SQL 명령어를 전송하여 데이터베이스를 조작하고 민감한 정보를 탈취할 수 있습니다. 공격자 인증이 필요 없어 높은 위험도를 가집니다.
💡 쉬운 설명
phpBB 포럼 소프트웨어의 개인 메시지 기능에 보안 구멍이 있어서 악의적인 명령어로 데이터베이스를 조종할 수 있습니다. 사용자 정보, 비밀번호, 게시물 등 모든 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in privmsg.php in phpBB 2.0.3 and earlier allows remote attackers to execute arbitrary SQL commands via the mark[] parameter.
📍 영향받는 시스템
phpBB 버전 2.0.3 이하 (2.0.0, 2.0.1, 2.0.2, 2.0.3)
⚔️ 공격 벡터
HTTP 요청의 mark[] 파라미터에 SQL 구문을 삽입하여 원격으로 임의 SQL 명령어 실행
🛡️ 대응 방법
phpBB를 2.0.4 이상의 패치된 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 2.0.3 이하면 취약함. 2.0.4 이상이면 패치 완료
grep -r 'define.*PHPBB_VERSION' /var/www/html/ 2>/dev/null | head -1